Il 10 novembre 2026 il CSIRT Italia, il servizio dell’Agenzia per la cybersicurezza nazionale, ha pubblicato l’alert AL07/261110/CSIRT-ITA su più vulnerabilità 0-day (cioè sfruttabili prima che esista una correzione ufficiale) in N-central, una piattaforma per monitorare e gestire a distanza i sistemi informatici di un’organizzazione. Le falle sono indicate complessivamente con il nome “Able2Shell”. Secondo l’alert l’impatto sistemico è critico, con un valore di 86.92.
Chi è coinvolto
Secondo l’alert sono interessati i seguenti prodotti:
- N-central, versione hosted (gestita dal fornitore)
- N-central, versione on-premise (installata sui server dell’organizzazione)
Le vulnerabilità dipendono da una gestione non adeguata dei dati inseriti dall’utente, da controlli insufficienti sulle autorizzazioni e da una separazione non corretta tra sessioni, clienti e dispositivi.
Che rischio c’è
Secondo il CSIRT Italia, un attaccante remoto che non ha bisogno di credenziali potrebbe aggirare l’autenticazione, acquisire credenziali e informazioni riservate, modificare le configurazioni, scrivere file a piacere ed eseguire codice con privilegi elevati. In pratica, chi sfrutta queste falle potrebbe prendere il controllo completo dell’applicazione.
L’alert precisa che online sono disponibili diverse catene di sfruttamento, cioè sequenze di passaggi che combinano più falle. Ne descrive quattro:
- La prima parte da una scrittura anonima nel componente ServerMMS2 e arriva all’esecuzione di comandi con i privilegi dell’utente di servizio nable. Può anche creare un account amministratore con credenziali scelte dall’attaccante.
- La seconda parte da un meccanismo di autenticazione prevedibile nel componente ServerMMS3. Inserisce contenuti malevoli nella pagina di dettaglio di una patch e, quando un amministratore la apre, porta all’esecuzione di codice come utente nable.
- La terza ha lo stesso punto di partenza della seconda, ma usa la sessione dell’amministratore per manipolare la funzione Audit Export. Il risultato è l’esecuzione di comandi con UID 0, cioè con i privilegi massimi del sistema.
- La quarta richiede un accesso autenticato alla funzione SIS GenericFiles. Sfrutta un percorso di file non validato per collocare una pagina JSP controllata dall’attaccante e poi eleva i privilegi.
Secondo l’alert, N-able ha temporaneamente disattivato gli ambienti N-central hosted. Per le installazioni on-premise raccomanda di tenere i server offline fino a nuove indicazioni. Un aggiornamento correttivo è in preparazione e in fase di verifica.
Cosa fare
Il CSIRT Italia raccomanda di seguire le indicazioni del produttore, pubblicate all’indirizzo indicato nella sezione Riferimenti dell’alert. Le azioni indicate sono queste:
- Disattivare temporaneamente i server N-central on-premise fino al rilascio degli aggiornamenti correttivi ufficiali e alle comunicazioni del fornitore sul ripristino dei servizi.
- Se esigenze operative inderogabili impediscono di spegnere i sistemi, evitare che siano raggiungibili direttamente da Internet. L’accesso va limitato alle sole reti e ai soli sistemi autorizzati, anche tramite VPN (un collegamento protetto). L’alert avverte che queste misure non garantiscono una mitigazione completa.
- Valutare i servizi alternativi offerti dal produttore attraverso il portale N-able.app, dove la configurazione in uso li supporta, per mantenere alcune funzioni di gestione degli endpoint.
Come precauzione generale, chi usa N-central tramite un fornitore di servizi informatici può chiedergli se i propri sistemi sono coinvolti e quali misure ha adottato. Resta utile anche controllare che gli aggiornamenti dei sistemi siano abilitati, per applicare la correzione appena sarà disponibile.
Fonte: alert AL07/261110/CSIRT-ITA del CSIRT Italia, Agenzia per la cybersicurezza nazionale, pubblicato il 10 novembre 2026 (impatto sistemico critico). Leggi l’alert originale.
